CVE-2020-10189
Patch now. It under exploitation confirmed by CISA, has a working public exploit and 1 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
Apply updates per vendor instructions.
Summary
Falha de desserialização insegura (CWE-502) no ManageEngine Desktop Central, servidor de gerenciamento de endpoints da Zoho, que permite execução remota de código sem autenticação. É crítica de verdade: não exige credenciais, não exige configuração especial, e dá execução como SYSTEM no Windows — por isso está no catálogo KEV da CISA com exploração confirmada em campo.
Technical detail
A vulnerabilidade está na classe FileStorage, especificamente no método getChartImage, acessado através dos servlets CewolfServlet e MDMLogUploaderServlet. O servidor desserializa dados fornecidos pelo usuário sem validar se o objeto resultante é seguro, um caso clássico de CWE-502 (Deserialization of Untrusted Data) em aplicações Java. O atacante controla o payload serializado enviado à aplicação; se existir uma gadget chain disponível no classpath do Desktop Central (bibliotecas Java conhecidas por permitirem execução de código durante a desserialização), o processo de desserialização pode ser sequestrado para instanciar objetos arbitrários e, a partir daí, executar comandos no sistema operacional.
O CISA classifica a falha também como 'file upload vulnerability' em sua entrada do KEV, o que indica que o vetor prático envolve enviar um arquivo/payload que é processado por esses servlets antes de disparar a desserialização — coerente com o papel do MDMLogUploaderServlet como ponto de upload.
A falha foi descoberta por Steven Seeley (mr_me), da Source Incite, com divulgação em 2019-12-12 e liberação pública do zero-day em 2020-03-05, antes da correção oficial e da atribuição do CVE em 2020-03-06. Isso significa que o mecanismo técnico e um PoC funcional estiveram públicos antes que a maioria dos administradores pudesse aplicar o patch.
How it’s exploited
Não é necessário autenticar-se: o atacante só precisa de acesso de rede à interface do Desktop Central (tipicamente exposta em portas HTTP/HTTPS de gerenciamento) para enviar a requisição maliciosa aos servlets vulneráveis. A ausência de qualquer pré-requisito de autenticação, combinada com a exposição comum desses painéis de administração remota de endpoints à internet ou a redes corporativas amplas, torna o alvo atraente e o ataque de baixa complexidade.
Existe PoC público (Source Incite publicou o script de exploração), módulo Metasploit e template Nuclei — ou seja, a barreira técnica para explorar é mínima e ferramentas de scanning em massa conseguem identificar e comprometer instâncias vulneráveis automaticamente. O resultado da exploração, segundo o advisory original, é execução de código arbitrário no contexto de SYSTEM, o nível de privilégio mais alto no Windows, dando ao atacante controle total do host que executa o Desktop Central — e, por consequência, potencialmente de todos os endpoints gerenciados por ele.
A presença no catálogo KEV da CISA confirma exploração ativa em campo, embora a CISA não classifique a falha como associada a campanhas de ransomware conhecidas ('Unknown' no campo correspondente). A combinação zero-day público + patch simultâneo fez com que ambientes não corrigidos rapidamente após março de 2020 ficassem expostos a exploração oportunista por scanners automatizados.
Versions
How to protect
A correção oficial da Zoho está na versão 10.0.474 do Desktop Central — atualizar para essa versão ou posterior elimina a falha. A CISA, no KEV, recomenda simplesmente 'aplicar atualizações conforme instruções do fornecedor', sem paliativo alternativo documentado.
Se a atualização imediata não for viável, o controle compensatório mais eficaz é restringir o acesso de rede à interface do Desktop Central (isolar em VLAN de gerência, bloquear exposição à internet, exigir VPN), já que a exploração depende de alcançar os servlets CewolfServlet e MDMLogUploaderServlet pela rede. Um WAF que module payloads de desserialização Java pode reduzir o risco, mas a própria CISA/CWE lista essa medida como de eficácia 'moderada' — não substitui o patch, porque atacantes podem ofuscar o payload serializado para escapar de assinaturas.
Não há mitigação de configuração interna documentada pelo fornecedor (como desabilitar os servlets afetados) nas fontes disponíveis; a única correção comprovada é a atualização de versão.
How to detect
Como o vetor passa pelos servlets CewolfServlet e MDMLogUploaderServlet, requisições HTTP anômalas direcionadas a esses endpoints — especialmente contendo dados serializados Java (payloads com assinatura binária típica, cabeçalhos 0xACED, ou strings associadas a bibliotecas de gadget chain conhecidas) — são o sinal mais direto de tentativa de exploração. A existência de módulo Metasploit e template Nuclei também significa que scans automatizados deixam padrões de requisição repetitivos e previsíveis nos logs do servidor web/aplicação.
Não há, nas fontes consultadas, indicadores de comprometimento pós-exploração específicos (hashes, IOCs de campanha) publicados pela Zoho ou pela CISA; a detecção prática depende de monitorar logs de acesso ao Desktop Central e de EDR no host, observando processos filhos anômalos gerados pelo serviço do Desktop Central rodando como SYSTEM.